CN114124802B - 一种跨域黑洞路由集中管控方法及装置 - Google Patents

Abstract

本发明公开一种跨域黑洞路由集中管控方法及装置，其中该方法包括：网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由；系统从BGP路由服务器通过BGP协议向指定边界设备发布针对互联AS的跨域黑洞路由；跨域黑洞路由发布控制方案。本发明实现跨域黑洞路由的统一发布管理。边界路由器只需要一次性配置好基础策略，跨域黑洞路由发布及回撤都统一通过BGP路由协议完成，无需再做配置，在实现集中管理的同时也避免了在设备上做过多复杂的配置，提高了路由发布及管理效率。

Description

一种跨域黑洞路由集中管控方法及装置

技术领域

本发明涉及互联网通信安全技术领域，尤其涉及了一种跨域黑洞路由集中管控方法及装置。

背景技术

当前，不少运营商针对其客户或互联运营商提供了跨域封堵能力。基于互联运营商提供的这个能力，当遭到来自互联运营商网络的DDos(分布式拒绝服务)攻击时，可向其发布指定community(团体)属性的BGP封堵路由进行跨域封堵，消除跨域DDOS攻击给互联链路带来的冲击，保障互联链路的有效带宽利用。

在实际部署时，由于不同运营商的跨域黑洞路由发布规则各不相同，并且互联点分布在不同的边界路由器上，通常需要在和各运营商的互联设备的BGP连接上分别配置各自的策略和要封堵的黑洞路由，配置分散不易管理维护，也容易造成错误配置。而传统的黑洞路由器主要用于在网内广播黑洞路由，不具备向指定路由器发布针对特定运营商的跨域黑洞路由的能力。

发明内容

针对现有技术的上述问题，本发明提供了一种跨域黑洞路由集中管控方法，实现跨域黑洞路由的统一发布管理。边界路由器只需要一次性配置好基础策略，跨域黑洞路由发布及回撤都统一通过BGP路由协议完成，无需再做配置，在实现集中管理的同时也避免了在设备上做过多复杂的配置，提高了路由发布及管理效率。

为实现上述目的，本发明采用下述技术方案：

在本发明一实施例中，提出了一种跨域黑洞路由集中管控方法，该方法包括：

S01、网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由；

S02、系统从BGP路由服务器通过BGP协议向指定边界设备发布针对互联AS的跨域黑洞路由；

S03、跨域黑洞路由发布控制方案。

进一步的，所述S02中系统向指定边界设备的多个互联AS同时发布一条黑洞路由时，包括：

S021、BGP路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS；

S022、边界设备向不同AS的out方向的路由策略中可分别匹配到各自的community，并将黑洞路由进行发布。

进一步的，所述S03包括：

S031、BGP路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS进行统一设定；

S032、边界路由器在与上游AS的out方向BGP策略中，增加策略条目，community匹配该AS号的跨域黑洞路由网内标记，将community修改为符合运营商规则的黑洞路由community并发布路由。

进一步的，所述S032中将符合运营商规则的黑洞路由community覆盖掉原有的community并替换。

在本发明一实施例中，还提出了一种跨域黑洞路由集中管控装置，该装置包括：

连接模块、网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由；

黑洞路由发布模块、系统从BGP路由服务器通过BGP协议向指定边界设备发布针对互联AS的跨域黑洞路由；

控制方案发布模块、跨域黑洞路由发布控制方案。

进一步的，所述黑洞路由发布模块中系统向指定边界设备的多个互联AS同时发布一条黑洞路由时，包括：

多目标模块、BGP路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS；

多目标黑洞路由发布模块、边界设备向不同AS的out方向的路由策略中可分别匹配到各自的community，并将黑洞路由进行发布。

进一步的，所述控制方案发布模块包括：

AS设定模块、BGP路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS进行统一设定；

修改发布模块、边界路由器在与上游AS的out方向BGP策略中，增加策略条目，community匹配该AS号的跨域黑洞路由网内标记，将community修改为符合运营商规则的黑洞路由community并发布路由。

进一步的，所述修改发布模块中将符合运营商规则的黑洞路由community覆盖掉原有的community并替换。

在本发明一实施例中，还提出了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现前述跨域黑洞路由集中管控方法。

在本发明一实施例中，还提出了一种计算机可读存储介质，计算机可读存储介质存储有执行跨域黑洞路由集中管控方法的计算机程序。

有益效果：

1、通过建设集中的BGP路由服务器，使用BGP协议向指定边界路由器发布打了特定运营商跨域黑洞标记的黑洞路由，配合边界路由器本地预配置的路由策略，实现跨域黑洞路由的统一发布管理。边界路由器只需要一次性配置好基础策略，跨域黑洞路由发布及回撤都统一通过BGP路由协议完成，无需再做配置，在实现集中管理的同时也避免了在设备上做过多复杂的配置，提高了路由发布及管理效率

2、BGP路由服务器为每台边界路由器维护独立路由表，可向不同边界路由器发布不同的路由并保证发布路由的持久性，相对于传统的黑洞路由器或路由反射器，本方案的BGP路由服务器可提供定向路由的发布管理能力，同时可将不同边界路由器的路由隔离避免冲突或泄漏。

附图说明

图1是本发明一种跨域黑洞路由集中管控方法流程示意图；

图2是本发明实施例一的示意图；

图3是本发明实施例二的示意图；

图4是本发明一实施例的跨域黑洞路由集中管控装置结构示意图；

图5是本发明一实施例的计算机设备结构示意图。

具体实施方式

下面将参考若干示例性实施方式来描述本发明的原理和精神，应当理解，给出这些实施方式仅仅是为了使本领域技术人员能够更好地理解进而实现本发明，而并非以任何方式限制本发明的范围。相反，提供这些实施方式是为了使本公开更加透彻和完整，并且能够将本公开的范围完整地传达给本领域的技术人员。

本领域技术人员知道，本发明的实施方式可以实现为一种系统、装置、设备、方法或计算机程序产品。因此，本公开可以具体实现为以下形式，即：完全的硬件、完全的软件(包括固件、驻留软件、微代码等)，或者硬件和软件结合的形式。

本发明涉及的名词解释，

自治系统(AS)：

全球的互联网被分成很多个AS自治域，每个国家的运营商、机构、甚至公司等都可以申请AS号码。各自分配的IP地址被标清楚属于哪个AS号码。

BGP协议：

BGP用于在不同的自治系统(AS)之间交换路由信息。当两个AS需要交换路由信息时，每个AS都必须指定一个运行BGP的节点，来代表AS与其他的AS交换路由信息。这个节点可以是一个主机。但通常是路由器来执行BGP。两个AS中利用BGP交换信息的路由器也被称为边界网关(Border Gateway)或边界路由器(Border Router)。

BGP路由服务器：

BGP路由服务器实现对各边界路由器上的跨域黑洞路由的集中控制管理。

BGP路由服务器和每台边界路由器建立IBGP协议连接，并为每台边界路由器维护一个跨域黑洞路由表。BGP路由服务器通过BGP路由协议向指定边界路由器发布跨域黑洞路由，跨域黑洞路由在边界路由器以动态路由而非配置的形式存在，提高了路由收发的效率。当协议连接中断后，BGP路由器仍维持边界路由器的路由表，待连接恢复后会重新发布所有路由，保证路由数据的持久性。

BGP路由服务器提供双机热备部署能力，可部署两台服务器同时与边界路由器建立连接，维护并发布相同跨域黑洞路由表，提供路由发布的高可靠性。任一台服务器故障不影响业务路由的发布。

管理控制台及API接口：

提供跨域黑洞路由发布管理的控制台界面，界面功能包括:

对各边界路由器上当前路由信息的增、删、改、查功能；

历史路由发布/删除日志的查询；

北向为业务系统提供restful接口，对各边界路由器的跨域黑洞路由表提供增、删、查、改的能力，通过BGP路由服务器完成路由发布的更新动作。

EBGP：指不同AS的设备间建立的BGP协议连接，用于不同AS间的路由交换。

IBGP：指相同AS的设备间建立的BGP协议连接，用于同一AS内的不同设备间的路由交换。边界设备通过EBGP学习到外部AS的路由并发布本AS的路由，通过IBGP把从外部AS学到的路由通告给AS域内的其他设备。

BGP路由团体属性(BGP COMMUNITY)：

BGP路由的一个属性，相当于给路由打上各种分类标记，用于标记一类或者一种路由。一条BP路由可以包含多个团体属性，可以随BGP路由一起进行传播。一个BGP路由团体属性为4字节长度，表示为冒号分隔的2个2字节整数值，例如100:1。

根据本发明的实施方式，提出了一种跨域黑洞路由集中管控方法，实现跨域黑洞路由的统一发布管理。边界路由器只需要一次性配置好基础策略，跨域黑洞路由发布及回撤都统一通过BGP路由协议完成，无需再做配置，在实现集中管理的同时也避免了在设备上做过多复杂的配置，提高了路由发布及管理效率。

下面参考本发明的若干代表性实施方式，详细阐释本发明的原理和精神。

图1是本发明一实施例的跨域黑洞路由集中管控方法流程示意图。如图1所示，具体实现流程包括：

S01、网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由；

S02、系统从BGP路由服务器通过BGP协议向指定边界设备发布针对互联AS的跨域黑洞路由；

S03、跨域黑洞路由发布控制方案。

所述S02中系统向指定边界设备的多个互联AS同时发布一条黑洞路由时，包括：

S021、BGP路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS；

S022、边界设备向不同AS的out方向的路由策略中可分别匹配到各自的community，并将黑洞路由进行发布。

所述S03包括：

S031、BGP路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS进行统一设定；

S032、边界路由器在与上游AS的out方向BGP策略中，增加策略条目，community匹配该AS号的跨域黑洞路由网内标记，将community修改为符合运营商规则的黑洞路由community并发布路由。

所述S032中将符合运营商规则的黑洞路由community覆盖掉原有的community并替换。

需要说明的是，尽管在上述实施例及附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

为了对上述跨域黑洞路由集中管控方法进行更为清楚的解释，下面结合具体的实施例来进行说明，然而值得注意的是该实施例仅是为了更好地说明本发明，并不构成对本发明不当的限定。

实施例一：

如图2所示，S01、网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由。

S02、系统根据业务要求，从BGP路由服务器通过BGP协议向指定边界设备发布针对特定互联AS的跨域黑洞路由。如上图，路由服务器向R01发布去往AS100的跨域黑洞路由前缀Prefix1，向R02发布去往AS200的跨域黑洞路由前缀Prefix2

S03、跨域黑洞路由发布控制方案：

BGP路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS进行统一设定，如设为”{AS号}:1000”，即向AS100发布的跨域黑洞路由的community为100:1000，向AS200发布的跨域黑洞路由的community为200:1000

边界路由器在与上游AS的out方向BGP策略中，增加策略条目，community匹配该AS号的跨域黑洞路由网内标记“{AS}:1000”，将community修改为符合该运营商规则的黑洞路由community并发布路由。如上图，路由器R01按照与AS100约定的规则，将送往AS100的跨域黑洞路由Prefix1的community修改为100:1后再发布给AS100；路由器R02则按照与AS200约定的规则，将送往AS200的跨域黑洞路由Prefix2的community修改为200:2后再发布给AS200。

路由器上的路由策略分多个条目，每个条目就是一个处理逻辑，包括匹配条件和执行动作。路由器会依次顺序匹配各个条目的匹配条件，匹配成功一个条目的匹配条件就执行条目里指定的动作。

这里增加的策略条目就是在原来的路由策略里增加一个条目，条目内容为：匹配网内的跨域黑洞标记，执行动作是把团体属性改写为这个运营商特有的跨域黑洞路由标记并把路由发布出去。

实施例二：

如图3所示，向一台边界路由设备的多个互联AS同时发布一条黑洞路由，BGP路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS，如”{AS1}:1000{AS2}:1000”，边界设备在向这两个AS的out方向的路由策略中可分别匹配到各自的community，从而将黑洞路由进行发布，而其他AS的策略未匹配则不发布此路由。

基于同一发明构思，本发明还提出一种跨域黑洞路由集中管控装置。该装置的实施可以参见上述方法的实施，重复之处不再赘述。以下所使用的术语“模块”，可以是实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图4是本发明一实施例的跨域黑洞路由集中管控装置结构示意图。如图4所示，该装置包括：

连接模块101、网络边界路由设备与BGP路由服务器建立IBGP连接，并允许接收路由服务器播发的路由；

黑洞路由发布模块102、系统从BGP路由服务器通过BGP协议向指定边界设备发布针对互联AS的跨域黑洞路由；

控制方案发布模块103、跨域黑洞路由发布控制方案。

黑洞路由发布模块102中系统向指定边界设备的多个互联AS同时发布一条黑洞路由时，包括：

多目标模块、BGP路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS；

多目标黑洞路由发布模块、边界设备向不同AS的out方向的路由策略中可分别匹配到各自的community，并将黑洞路由进行发布。

控制方案发布模块103包括：

AS设定模块、BGP路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS进行统一设定；

修改发布模块、边界路由器在与上游AS的out方向BGP策略中，增加策略条目，community匹配该AS号的跨域黑洞路由网内标记，将community修改为符合运营商规则的黑洞路由community并发布路由。

修改发布模块中将符合运营商规则的黑洞路由community覆盖掉原有的community并替换。

应当注意，尽管在上文详细描述中提及了跨域黑洞路由集中管控装置的若干模块，但是这种划分仅仅是示例性的并非强制性的。实际上，根据本发明的实施方式，上文描述的两个或更多模块的特征和功能可以在一个模块中具体化。反之，上文描述的一个模块的特征和功能可以进一步划分为由多个模块来具体化。

基于前述发明构思，如图5所示，本发明还提出一种计算机设备200，包括存储器210、处理器220及存储在存储器210上并可在处理器220上运行的计算机程序230，处理器220执行计算机程序230时实现前述跨域黑洞路由集中管控方法。

基于前述发明构思，本发明还提出一种计算机可读存储介质，计算机可读存储介质存储有执行前述跨域黑洞路由集中管控方法的计算机程序。

本发明提出的跨域黑洞路由集中管控方法及装置，通过建设集中的BGP路由服务器，使用BGP协议向指定边界路由器发布打了特定运营商跨域黑洞标记的黑洞路由，配合边界路由器本地预配置的路由策略，实现跨域黑洞路由的统一发布管理。边界路由器只需要一次性配置好基础策略，跨域黑洞路由发布及回撤都统一通过BGP路由协议完成，无需再做配置，在实现集中管理的同时也避免了在设备上做过多复杂的配置，提高了路由发布及管理效率

BGP路由服务器为每台边界路由器维护独立路由表，可向不同边界路由器发布不同的路由并保证发布路由的持久性，相对于传统的黑洞路由器或路由反射器，本方案的BGP路由服务器可提供定向路由的发布管理能力，同时可将不同边界路由器的路由隔离避免冲突或泄漏。

虽然已经参考若干具体实施方式描述了本发明的精神和原理，但是应该理解，本发明并不限于所公开的具体实施方式，对各方面的划分也不意味着这些方面中的特征不能组合以进行受益，这种划分仅是为了表述的方便。本发明旨在涵盖所附权利要求的精神和范围内所包含的各种修改和等同布置。

对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (8)

1.一种跨域黑洞路由集中管控方法，其特征在于，该方法包括：

S01、网络边界路由设备与 BGP 路由服务器建立 IBGP 连接，并允许接收路由服务器播发的路由；

S02、系统从 BGP 路由服务器通过 BGP 协议向指定边界设备发布针对互联 AS 的跨域黑洞路由；

S03、跨域黑洞路由发布控制方案，包括：

S031、BGP 路由服务器向边界设备发布的跨域黑洞路由，community根据路由发送目标AS 进行统一设定；

S032、边界路由器在与上游 AS 的 out 方向 BGP 策略中，增加策略条目，community匹配该 AS 号的跨域黑洞路由网内标记，将community 修改为符合运营商规则的黑洞路由community 并发布路由。

2.根据权利要求 1 所述的跨域黑洞路由集中管控方法，其特征在于，所述 S02 中系统向指定边界设备的多个互联 AS 同时发布一条黑 洞路由时，包括：

S021、BGP 路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的AS；

S022、边界设备向不同 AS 的 out 方向的路由策略中可分别匹配到各自的community，并将黑洞路由进行发布。

3.根据权利要求 1 所述的跨域黑洞路由集中管控方法，其特征在于，所述 S032 中将符合运营商规则的黑洞路由 community 覆盖掉原有的 community 并替换。

4.一种跨域黑洞路由集中管控装置，其特征在于，该装置包括：

连接模块、网络边界路由设备与 BGP 路由服务器建立 IBGP 连接，并允许接收路由服务器播发的路由；黑洞路由发布模块、系统从BGP 路由服务器通过 BGP 协议向指定边界设备发布针对互联 AS 的跨域黑洞路由；控制方案发布模块、跨域黑洞路由发布控制方案，包括：

AS 设定模块、BGP 路由服务器向边界设备发布的跨域黑洞路由，community 根据路由发送目标 AS 进行统一设定；

修改发布模块、边界路由器在与上游 AS 的 out 方向 BGP 策略中，增加策略条目，community 匹配该 AS 号的跨域黑洞路由网内标记，将community修改为符合运营商规则的黑洞路由community并发布路由。

5.根据权利要求 4 所述的跨域黑洞路由集中管控装置，其特征在于，所述黑洞路由发布模块中系统向指定边界设备的多个互联 AS 同时发布一条黑洞路由时，包括：

多目标模块、BGP 路由服务器向边界设备发布的跨域黑洞路由可携带多个community，分别对应不同的 AS；

多目标黑洞路由发布模块、边界设备向不同 AS 的 out 方向的路由策略中可分别匹配到各自的 community，并将黑洞路由进行发布。

6.根据权利要求 4 所述的跨域黑洞路由集中管控装置，其特征在于，所述修改发布模块中将符合运营商规则的黑洞路由 community 覆盖掉原有的 community 并替换。

7.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求 1-3 任一项所述方法。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求 1-3 任一项所述方法的计算机程序。